大映科技ANMAS推地端版 携SGS拓展IoT封包检测
大映科技（Daying Technology）在一场IoT设备信任供应链合作发表会上说明其AI网路封包分析系统ANMAS的最新进展：该系统2025年完成产品开发时先提供云端方案，今年进一步推出地端版，由精技电脑协助企业建置本地AI运算环境。ANMAS采用小型语言模型并搭配fine-tuning、LoRA与RAG，透过虚拟Wi-Fi环境撷取IoT设备流量后分析PCAP档案，官方称500MB封包的分析时间可从人工约4小时缩短到10至15分钟，且不解密HTTPS/TLS，而是靠连线频率、时间间隔与通讯目的地等行为特征判断异常。公司表示已累积逾2,200种网路行为，一般场域辨识准确率约8成、IoT/OT场域可达9成，并与SGS台湾检验科技、资策会资安科技研究所、中华民国网路封包分析协会、精诚恒逸教育训练中心、逢甲大学及三丸公司等合作推动检测验证、场域导入与人才培训。
为什么重要：它展示AI封包分析正被产品化，用于IoT/OT设备供应链的通讯行为查核，弥补人工难以规模化分析的缺口。
近日大映科技揭露AI網路封包分析系統ANMAS（AI Network Malware Analysis System）的最新發展，並攜手多方夥伴拓展IoT、OT與企業網路安全等應用。除了供應鏈檢測與場域合作，大映科技總經理劉得民也進一步說明ANMAS如何將AI運用於網路封包分析。
關於ANMAS的實際運作，劉得民指出，IoT設備的網路封包一般可透過交換器或Wi-Fi等方式取得，ANMAS則採用虛擬Wi-Fi環境擷取設備通訊流量，之後再由工程師將封包擷取（Packet Capture，PCAP）檔案送交系統，由AI模型進一步分析。
在AI架構方面，ANMAS採用小型語言模型（SLM），並搭配Fine-tuning、LoRA與RAG等技術。其中，工程師可透過RAG知識庫將分析經驗、判斷結果或其他相關知識納入系統，讓AI在後續分析時結合既有知識進行判讀。這樣的好處在於，隨著企業持續分析封包，逐步累積屬於該企業自身環境的網路經驗。
至於實際效益，劉得民以封包分析效率為例，一份500MB的PCAP檔案，若由工程師人工分析，大約需要4小時；若資料量進一步增加到數十GB，人工一天也未必能完成。以百人規模企業來看，每小時就可能產生數十GB的網路封包，更難以完全依靠人工逐一分析。透過ANMAS搭配GPU運算後，500MB封包的分析時間可縮短至約10至15分鐘。
除了提升分析效率，另一個效益則在於經驗傳承。傳統封包分析高度仰賴工程師個人經驗，一旦資深人員離職，部分判斷經驗也可能隨之流失；透過ANMAS，則可將這些經驗持續沉澱在系統中，讓後續接手的工程師能在既有知識基礎上進行分析。
已累積逾2,200種網路行為，IoT、OT場域的封包辨識準確率達9成
會後我們進一步詢問劉得民，相較傳統網路封包分析的工作，ANMAS是否可視為產品化上的新突破，以及國際間是否已有類似技術發展。
劉得民表示，過去這類工作主要仰賴專業人員逐步拆解與追查，相關分析技術其實早已存在，但ANMAS的重點在於將這套能力進一步產品化，把封包分析、AI模型與既有行為樣本整合成可實際部署的系統。
至於國際間的發展情形，他指出，封包分析雖屬較小眾的專業領域，但全球仍有一定規模的研究與實務人員投入。不過，依劉得民觀察，真正專注於深度封包分析者僅有數千人，而能進一步將AI分析能力產品化的團隊，仍相對有限。
談到ANMAS的自動化分析能力，劉得民指出，團隊目前已蒐集超過2,200種網路行為，涵蓋一般網路服務，以及病毒、後門程式等活動。每種行為都蒐集多份10MB以上的封包資料，經過人工清理、去識別化與標記後，再用於監督式學習模型訓練。
依劉得民說法，目前ANMAS在一般場域的辨識準確率約達8成，在IoT、OT等特定場域則可達9成；其餘可能出現誤判或無法明確判定的情況，仍需交由專業人員進一步確認。他強調，AI並不是要取代分析人員，而是協助縮短分析時間，最終判斷仍由人員負責。
至於HTTPS、TLS等加密流量是否會限制封包分析能力，劉得民解釋，ANMAS並不會解密通訊內容，其封包分析是透過連線頻率、時間間隔與通訊目的地等行為特徵判斷是否存在異常。舉例來說，惡意程式或後門程式為了維持與C2伺服器的連線，通常會定期送出Heartbeat或Beacon；即使攻擊者刻意加入隨機時間差，仍可能呈現一定範圍內的週期性特徵，成為AI辨識異常行為的線索。